Fil-qosor: Fis-sigurtà ta' PHP f'Drupal, wara PHP2Shell, jgħodd l-aktar is-server: il-vulnerabbiltà tinsab f'PHP, mhux f'Drupal. Ivverifikaw l-istat ta' PHP fir-rapport tal-istat u għand l-operatur, erġgħu ibdew il-proċessi kollha ta' PHP u wara kkontrollaw settings.php, id-direttorju files u d-drittijiet tar-rwoli.
Drupal u PHP2Shell: is-sitwazzjoni
Drupal spiss jintuża għal websajts akbar, portals u entitajiet pubbliċi, spiss b'ħafna editors u interfaces. Skont it-tim ta' PHP, il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 ta' PHP jippermettu kodiċi malizzjuż mill-bogħod mingħajr login. Kemm Drupal innifsu huwa mmaniġġjat tajjeb ma jaqbel xejn f'dan.
Drupal għandu tim proprju tas-sigurtà li jippubblika avviżi dwar il-qalba u l-moduli. PHP2Shell ma jagħmilx parti minnhom, għax mhuwiex vulnerabbiltà ta' Drupal. Min isegwi biss l-avviżi ta' Drupal jista' għalhekk ma jkunx innota l-allarm.
F'proġetti akbar ta' Drupal ir-responsabbiltà spiss tinqasam f'diversi postijiet: aġenzija żżomm il-kodiċi, ċentru tad-data jopera s-servers, l-editorjal ikun fil-bini. Iċċaraw bil-miktub min jinstalla l-aġġornament ta' PHP, min jagħmel ir-restart u min jivverifika jekk ġara xi ħaġa qabel. F'setups b'diversi servers tal-web wara load balancer, kull server individwali jrid ikun ippatchjat u mibdi mill-ġdid, inkella parti mit-talbiet tibqa' fuq PHP qadim.
Sigurtà ta' PHP f'Drupal: ivverifikaw il-verżjoni u l-istat tal-patch
Taħt Reports > Status report Drupal juri l-verżjoni ta' PHP li biha l-websajt taħdem, flimkien ma' twissijiet dwar il-konfigurazzjoni. Fil-linja tal-kmand drush status jagħti l-verżjoni tal-PHP tas-CLI, li biha jaħdmu wkoll il-cronjobs u d-deployments. It-tnejn iridu jkunu ppatchjati.
Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Id-distribuzzjonijiet u l-hosters xi kultant jinstallaw korrezzjonijiet bħala backport; allura n-numru jibqa' l-istess; id-deċiżiv huwa l-istat tal-pakkett ikkonfermat. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Drupal tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fuq drupal.org. Wara l-aġġornament ir-restart jappartjeni, deskritt taħt Erġgħu ibdew PHP-FPM u l-workers kollha.
Direttorji u fajls li jgħoddu
| Post | Kontenut | Punt ta' verifika |
|---|---|---|
sites/default/settings.php |
Database, hash salt, trusted_host_patterns |
Data tal-bidla, includes miżjuda |
sites/default/files/ |
Uploads pubbliċi, immaġini ġġenerati, CSS u JS | L-ebda fajl PHP, .htaccess preżenti |
| Direttorju privat tal-fajls | Uploads protetti, spiss barra mill-għerq tad-dokumenti | Drittijiet ta' aċċess |
modules/contrib/, modules/custom/ |
Moduli minn drupal.org u żvilupp proprju | Moduli mibdula jew mhux magħrufa |
themes/ |
Themes b'templates Twig | JavaScript barrani |
vendor/ |
Dipendenzi ta' Composer | composer audit |
Drupal joħloq fid-direttorju files .htaccess li jimpedixxi l-eżekuzzjoni ta' PHP. Taħt Apache taħdem, taħt Nginx le. Hemmhekk hemm bżonn regola proprja:
location ~* ^/sites/.+/files/.+\.php$ {
deny all;
}
Verifiki mingħajr periklu b'mezzi li jiġu mal-ambjent u b'Drush:
find sites/*/files -type f -name "*.php"
drush pm:list --status=enabled --type=module
composer audit
Qabblu l-istat tal-kodiċi fuq is-server mar-repożitorju Git tagħkom. F'proġetti ta' Drupal b'Composer din hija l-aktar triq mgħaġġla biex isibu fajls barranin jew mibdula, għax kull differenza trid tkun tista' tiġi spjegata.
Rwoli, drittijiet u moduli bħala riskju
Il-login jinsab taħt /user/login, iż-żona tal-amministrazzjoni taħt /admin. F'Drupal mhux biss il-kontijiet tal-amministratur jiddeċiedu dwar is-sigurtà, imma permessi individwali. Drittijiet bħall-amministrazzjoni tal-moduli, tal-utenti, tal-permessi jew ta' formati tat-test b'HTML sħiħ huma prattikament drittijiet ta' amministratur. Ivverifikaw taħt People u Permissions liema rwoli għandhom dawn u min jagħmel parti minn dawn ir-rwoli.
Il-moduli contrib jespandu lil Drupal ħafna, imma jġibu kodiċi proprju. Moduli mingħajr manutenzjoni attiva u żvilupp proprju qadim spiss huma r-raġuni għaliex upgrade ta' PHP jiġi posposti. Aktar dwar id-dipendenzi jinsab taħt Ivverifikaw id-dipendenzi ta' Composer għal vulnerabbiltajiet.
X'jagħmel aġġornament ta' Drupal u x'ma jagħmilx
Aġġornament tal-qalba jew ta' modulu jagħlaq żbalji f'dan il-kodiċi u jista' jippermetti verżjonijiet ġodda ta' PHP. Ma jipatchjax PHP, ma jneħħix fajls barranin minn sites/default/files, ma jerġax jissettja drittijiet u ma jħassarx kontijiet maħluqin bil-moħbi. Anke l-cache jista' jkompli jagħti kontenut manipulat sakemm jitbattal. Wara suspett l-hash salt u l-aċċess tad-database għandhom jiġu mġedda.
F'installazzjonijiet multisite diversi websajts jaqsmu l-istess kodiċi, imma taħt sites/ kull waħda għandha settings.php proprju u direttorju files proprju. Ivverifikaw allura kull websajt waħedha. Sejba f'sit waħda minħabba l-kodiċi komuni ġeneralment taffettwa lill-oħrajn kollha wkoll.
Kif tgħin PHP SOS b'mod konkret?
- Niċċekkjaw il-PHP tal-web u tas-CLI tas-server ta' Drupal tagħkom u nikkonfermaw il-patch u r-restart.
- Insalvaw il-logs u d-data u nqabblu l-istat tal-kodiċi mar-repożitorju tagħkom jew mal-pakketti oriġinali.
- Nikkontrollaw
settings.php, id-direttorjufiles, ir-regoli tas-server, ir-rwoli u l-permessi. - Jekk tixtiequ, nieħdu ħsieb il-manutenzjoni kontinwa fil-kuntratt ta' manutenzjoni tas-sigurtà, biex l-aġġornamenti ta' PHP u ta' Drupal ma jerġgħux jinfirdu.
Mistoqsijiet frekwenti
Aġġornament tas-sigurtà ta' Drupal jgħin kontra PHP2Shell?
Le. L-aġġornamenti ta' Drupal jagħlqu żbalji fil-qalba ta' Drupal u fil-moduli. PHP2Shell jinsab fil-PHP tas-server u jeħtieġ aġġornament ta' PHP jew backport ikkonfermat kif ukoll ir-restart tal-proċessi kollha ta' PHP.
Fejn juri Drupal il-verżjoni ta' PHP?
Fir-rapport tal-istat taħt Reports. B'Drush, drush status juri l-verżjoni ta' PHP tal-linja tal-kmand. Iż-żewġ indikazzjonijiet jistgħu jvarjaw, u backport ma jistax jiġi rikonoxxut b'mod sikur minn ebda waħda minnhom.
Il-.htaccess fil-folder files jipproteġi wkoll taħt Nginx?
Le. Il-.htaccess maħluq minn Drupal jiġi evalwat biss minn Apache. Taħt Nginx għandkom bżonn regola proprja fil-konfigurazzjoni tas-server li tibblokka l-fajls PHP fid-direttorju files.
X'tfisser trusted_host_patterns?
L-issettjar f'settings.php jiddetermina taħt liema ismijiet ta' host Drupal jirrispondi. Jipproteġi minn attakki permezz ta' indikazzjonijiet manipulati tal-host u jappartjeni f'kull installazzjoni produttiva.